मालिकेत दोन VPN दरवाजे: प्रत्येक प्रत्यक्षात काय ठरवते
मालिकेत दोन VPN टप्पे म्हणजे दोन स्वतंत्र परवानगी निर्णय असले पाहिजेत. प्रत्येक दरवाजा काय तपासतो ते नाव द्या, नंतर आतील दरवाजा काय नाकारतो ते तपासा.
दोन VPN एकमेकांना जोडणे सहसा अतिरिक्त एन्क्रिप्शन म्हणून विकले जाते, जे ते करते ते सर्वात कमी मनोरंजक काम आहे. खरे उत्पादन दुसरा अधिकृतता निर्णय आहे, जो वेगळा मालक वेगळ्या संसाधन-संचावर घेतो. जर दोन्ही टप्पे समान क्रेडेन्शियल स्वीकारतात आणि समान गंतव्यांपर्यंत पोहोचतात, तर आतील दरवाजा अतिरिक्त विलंबासह सजावट आहे. तो दुसरा निर्णय त्याच्या कार्यरत खर्चाला पात्र आहे का हे ठरवणे प्रत्येक दरवाजा प्रत्यक्षात काय सत्यापित करतो ते नाव देण्यापासून सुरू होते.
एक बोगदा, नंतर दुसरा निर्णय
बाहेरचा दरवाजा एका व्यापक प्रश्नाचे उत्तर देतो: हे मंजूर कर्मचारी उपकरण आहे का, आणि ते सामान्य अंतर्गत नेटवर्कपर्यंत पोहोचू शकते का. आतील दरवाजा अधिक अरुंद प्रश्नाचे: या ओळखीकडे देखभालीचा हक्क आहे का, आणि ती या विशिष्ट व्यवस्थापन अंतिम बिंदूंपर्यंत पोहोचू शकते का. हे वेगळ्या मालकांचे वेगळे प्रश्न आहेत, आणि एक दुसऱ्याला सूचित करत नाही. दोन्ही टप्प्यांतून जाणारा मार्ग असणे म्हणजे दुसऱ्याच्या मागे असलेले वापरण्याचा अधिकार नाही. दूरच्या प्रवेशद्वारापर्यंत पोहोचणे म्हणजे मार्ग कार्य करतो हे सिद्ध होते, आणि त्याहून अधिक नाही.
तत्त्व जुने आहे आणि तरीही दुर्लक्षित आहे: नेटवर्क स्थान स्वतः कोणतेही समर्थन देत नाही. NIST च्या शून्य-विश्वास स्थापत्याचा सारांश हे स्पष्टपणे सांगते, आणि कनेक्शन कुठून आले किंवा नेटवर्क कोणाचे आहे यातून निर्माण होणारा गर्भित विश्वास नाकारते. येथे लागू केल्यास, आतील प्रवेशद्वारापर्यंत पोहोचणे ही त्याच्या संसाधनांसाठी पूर्वअट आहे, त्यांचा वापर करण्याची परवानगी कधीच नाही.
प्रत्येक दरवाजा काय सत्यापित करतो ते लिहा
प्रत्येक टप्प्यासाठी, तो तपासणारी ओळख, तो परवानगी देणारी गंतव्ये आणि तो वगळला जाऊ शकणारी अटी नोंदवा. बाहेरचा दरवाजा कायदेशीरपणे सामान्य अंतर्गत सेवा आणि आतील दरवाजाचा श्रोता यांना परवानगी देऊ शकतो, आणि दुसरे काहीही नाही. आतील दरवाजा भूमिका-दावा मागू शकतो आणि बदल नोंदीत नाव दिलेल्या व्यवस्थापन पत्त्यांनाच परवानगी देऊ शकतो. दूरच्या टोकावरील अनुप्रयोग त्या भूमिकेला कोणत्या क्रिया करता येतील याबाबत अंतिम शब्द राखतो, म्हणून साखळी अनुप्रयोग अधिकृतता बदलल्याशिवाय एक दरवाजा जोडते.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
दोन वगळणी रचना शांतपणे तोडतात. जर बाहेरचे डोमेन आधीच प्रत्येक संवेदनशील गंतव्यापर्यंत थेट पोहोचत असेल, तर आतील दरवाजा बंधनकारक नसून ऐच्छिक आहे. जर सार्वजनिक श्रोता किंवा दुसरा खाजगी मार्ग तोच प्रवेश देत असेल, तर इच्छित मार्ग अनेक पर्यायांपैकी एक आहे. प्रत्येक नियम-संचाला मालकही नेमा, आणि त्यांचा करार गंतव्य सेवा, परवानगी असलेल्या स्रोत ओळखी, खाजगी DNS, पत्ता अनुवाद आणि हस्तांतरण अयशस्वी झाल्यास कोण उत्तर देतो हे नाव देऊ देत. बाहेरच्या नेटवर्कवर विश्वासार्ह असलेला पत्ता कधीही आतील डोमेनच्या अधिकृततेची जागा घेऊ नये.
नकाराच्या प्रकरणांची चाचणी घ्या, आनंददायी मार्गाची नाही
दोन्ही दरवाजांतून यशस्वी कनेक्शन फार कमी सिद्ध करते, कारण तेच प्रकरण सर्वांनी रोलआउटमध्ये तपासले होते. मनोरंजक प्रकरणे म्हणजे एक टप्पा पार होतो आणि दुसरा नाकारतो. त्यापैकी तीन बहुतेक जोखीम व्यापतात, आणि प्रत्येकाचा वाद नव्हे तर तपासता येणारा अपेक्षित परिणाम आहे.
सामान्य प्रवेश मंजूर आणि संवेदनशील भूमिका अनुपस्थित असताना, संवेदनशील गंतव्य नाकारले जात असताना सामान्य काम सुरू राहिले पाहिजे. दोन्ही टप्पे मंजूर करा आणि पोहोचण्यायोग्य संच बदल नोंदीत नाव दिलेले देखभाल अंतिम बिंदू असावेत, त्याहून विस्तृत नाही. सत्राच्या मध्यात हक्क रद्द झाल्यास, मान्य सत्र धोरण असंबंधित सामान्य प्रवेश न तोडता अंमलात यायला हवे. ती रद्द करणे विद्यमान सत्र तात्काळ संपवते की पुढील पुनर्प्रमाणीकरणात, हा करारात आधीच असलेला धोरण निर्णय आहे. स्वीकृती प्रकरणे लिहिणारा व्यक्ती घटनेच्या वेळी त्यांचा अर्थ लावणारी व्यक्ती नसावी.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"जोडलेल्या अवलंबित्वांची गणना करा
प्रत्येक अतिरिक्त टप्पा अयशस्वी होऊ शकणारा घटक आणि बाहेरच्या बोगद्यात योग्यरित्या नीडण्याचा मार्ग जोडतो. अर्धवट अयशस्वीतेत बाहेरचा मार्ग वर राहतो तर आतील मार्ग अगम्य असतो, म्हणून वापरकर्त्याला कधीही उत्तर न देणाऱ्या सेवेच्या शेजारी निरोगी VPN चिन्ह दिसते.
केवळ सामान्य स्थितीत नाही तर अयशस्वीतेत मार्ग आणि अडवणूक नियम तपासा. बाहेरच्या बोगद्याने ढकललेला डीफॉल्ट मार्ग आतील दरवाजाचा स्वतःचा पत्ता पकडू शकतो, ज्यामुळे दुसरा टप्पा प्रस्थापित होऊन नंतर पडणारे कनेक्शन बनते. आतील बोगदा नसताना काय अडवलेले राहायला हवे ते नोंदवा, कारण त्याच्या भोवतीचे अपघाती पुनरागमन स्वच्छ खंडनापेक्षा वाईट आहे. दोन्ही हॉपवर समान तपासणीचा आकार वापरा, प्रत्येक गृहीत धरण्याऐवजी मोजला जाईल. दोन जोडलेले स्थिती निर्देशक नीडणे किंवा विलगीकरण स्थापित करत नाहीत.
दुसरा दरवाजा तुमच्यासाठी काय विकत घेऊ शकत नाही
दोन्ही दरवाजे एक क्रेडेन्शियल, प्रमाणपत्र प्राधिकरण किंवा व्यवस्थापन स्तर सामायिक करतात का विचारा। जिथे सामायिक करतात, तिथे ते त्यांचे सर्वात महत्त्वाचे अयशस्वी मोडही सामायिक करतात, आणि दुसरा टप्पा तो दिसणारे स्वातंत्र्य जोडतो त्यापेक्षा जास्त खर्चिक आहे. वेगळी क्रिप्टोग्राफिक सत्रे वेगळे प्रशासकीय नियंत्रण निर्माण करत नाहीत.
आतील दरवाजा जोपर्यंत तुम्ही सांगू आणि तपासू शकता अशी आवश्यकता लागू करतो तोपर्यंत ठेवा, जसे की बाहेरचे डोमेन कधीही तपासत नाही अशी भूमिका. त्याचे एकमेव काम समान ओळखीला समान गंतव्यांविरुद्ध पुनर्प्रमाणित करणे असेल तेव्हा तो काढून टाका. कोणत्याही प्रकारे, आवश्यकता, मालक आणि अयशस्वी वर्तन एकत्र नोंदवा, जेणेकरून पुढील पुनरावलोकन आकृतीबद्दल नाही तर आवश्यकतेबद्दल वाद घालेल.